Jornadas CCN-CERT: Ciberamenazas, el reto de compartir

El CCN-CERT (Capacidad de Respuesta a Incidentes del Centro Criptológico Nacional, adscrito al Centro Nacional de Inteligencia) celebró las Jornadas STIC CCN-CERT bajo el lema “Ciberamenazas, el reto de compartir”, durante los días 13 y 14 de diciembre y como venía haciendo desde 2007. Estas Jornadas se han convertido en el principal encuentro de expertos en ciberseguridad del país, aglutinando a los principales responsables de seguridad de las Administraciones Públicas y de empresas de interés estratégico. Su éxito se debe en parte al respaldo y colaboración de la industria, con entidades colaboradoras y patrocinadores como InnoTec, Microsoft, Panda, Minsait-Indra, Eulen Seguridad o Kaspersky, entre otros.

El congreso ha contado con 55 ponentes y ha estado dividido en tres grandes temáticas: ‘Amenazas, ataques y retos tecnológicos’, ‘ENS y cumplimento normativo’ y ‘Prevención en Ciberseguridad’.

Seguridad a todos los niveles: protocolos, sistemas operativos y aplicaciones

Durante las sesiones englobadas bajo la primera temática se hizo hincapié en la seguridad y su correcta implementación. La creación de una guía de buenas prácticas para utilizar HTTPS a las entidades públicas fue una de las principales propuestas. Las aplicaciones como Nmap y Pshtt podrían ayudar en este sentido.

La seguridad en los dispositivos móviles fue otra de las claves del congreso. Algunas de las recomendaciones más destacadas en este aspecto fueron: contar con la última versión de nuestro sistema operativo, no utilizar redes wifi poco fiables y no instalar aplicaciones desconocidas en los móviles.

En 2017 fueron descubiertas unas 18.000 vulnerabilidades en smartphones. Para mitigar las consecuencias de estos fallos es necesario implementar medidas a nivel de arquitectura global del sistema operativo, pero también es importante hacerlo a nivel de cada una de las aplicaciones móviles.

Cumplimiento normativo a través del Esquema Nacional de Seguridad

En cuanto al segundo bloque de conferencias, se trató como tema fundamental establecer una política de seguridad en el uso de medios electrónicos para proteger de forma adecuada la información y los servicios ofrecidos.

Es necesario que el personal que trabaja en este ámbito esté preparado y comprenda la importancia del cumplimiento del ENS. Los cursos de sensibilización son muy útiles para conseguir este objetivo. La formación y concienciación son elementos clave, que deben ser desarrollados a través de planes anuales, alineados.

Someter los Sistemas de Información (SI) a un proceso de auditoría es otra de las claves. La mejora continua debe ser también una prioridad. La seguridad se trabaja los 365 días del año y es un proceso interno, integral y continuo.

Prevención en ciberseguridad: vulnerabilidades y correción

A raíz del ataque sufrido por el famoso ransomware WannaCry en el congreso hicieron un gran llamamiento a todas las entidades sobre la importancia de tener los equipos actualizados para poder hacer frente a las diversas vulnerabilidades que han ido apareciendo a lo largo del año, como es el caso de Blueborne (corregida por Google) o Krack WPA2, que permite a los atacantes acceder a la información que hasta ahora se asumía que estaba cifrada de forma segura cuando usamos el protocolo WPA2 en las conexiones wifi.

Es necesario tener un inventario de todas las tecnologías, conocer debidamente los entornos y tener copias de seguridad al día para evitar problemas. Cuando se detecta una vulnerabilidad, debe ser corregida en un plazo máximo de un mes.

Algunas conclusiones destacadas

En definitiva, durante todas las jornadas se puso en valor la importancia de la concienciación para evitar problemas de seguridad ante posibles vulnerabilidades y ataques. La colaboración entre entidades y el compartir conocimientos son aspectos que marcan la diferencia y nos fortalecen. La inteligencia artificial está en auge y las brechas son inevitables, por lo que la capacidad de respuesta debe ser global y es preferible que no seamos alarmistas. Los pasos a seguir para ser efectivos se podrían resumir en: